El 20 d’agost es va aprovar la PIPL, que entra en vigor l’1 de novembre i afecta també empreses estrangeres que tractin dades de persones a la Xina.
El 20 d’agost del 2021 el Comitè Permanent de l’Assemblea Popular Nacional de la Xina va aprovar la Llei de Protecció de la Informació Personal, coneguda per les sigles en anglès com a PIPL. Entrarà en vigor l’1 de novembre del 2021, sense el llarg termini d’adaptació que molts esperaven, i se suma a la Llei de Ciberseguretat i a la Llei de Seguretat de les Dades, que ho fa l’1 de setembre.
Molts analistes la comparen amb el Reglament General de Protecció de Dades (RGPD) europeu: reconeix drets a les persones, exigeix una base legal per tractar dades i preveu sancions de fins a 50 milions de iuans o el 5 % de la facturació de l’any anterior. Però ho fa amb un enfocament propi, en què la seguretat nacional i el paper de l’Estat en la gestió de les dades pesen molt. A diferència d’Europa, no hi ha una autoritat independent de protecció de dades: l’aplicació recau sobretot en organismes com l’Administració del Ciberespai.
Què exigeix la llei
La PIPL parteix de principis que resultaran familiars a qui conegui el RGPD: finalitat concreta, minimització de dades i transparència. Exigeix consentiment informat per tractar informació personal en molts supòsits, un consentiment separat per a les dades sensibles i la possibilitat de retirar-lo en qualsevol moment. Reconeix a més drets d’accés, correcció i supressió. Per a les dades de menors de 14 anys exigeix, a més, el consentiment dels seus progenitors o tutors.
També obliga a fer avaluacions d’impacte en els tractaments de més risc, com les dades sensibles, les transferències a l’estranger o les decisions automatitzades. Per a les empreses suposa documentar quines dades tracten, amb quin fonament i durant quant de temps, i poder demostrar-ho davant les autoritats xineses. Les sancions poden arribar també a les persones responsables dins de l’empresa.
Abast fora de la Xina
La llei s’aplica no només al tractament dins del país, sinó també al que es fa fora quan la seva finalitat és oferir productes o serveis a persones a la Xina o analitzar-ne el comportament. Les entitats estrangeres en aquest cas hauran, en termes generals, de designar un representant o una entitat en territori xinès.
Les transferències de dades a l’exterior estaran subjectes a condicions: una avaluació de seguretat, una certificació o un contracte tipus, a més del consentiment específic de la persona. Per a determinats operadors i volums de dades es pot exigir fins i tot que la informació es conservi a la Xina. A més, les autoritats estrangeres no podran accedir a dades emmagatzemades a la Xina sense l’aprovació prèvia de les autoritats xineses. Falten encara normes de desenvolupament que concretin els detalls.
Què convé revisar
Les empreses europees, i entre elles moltes de catalanes, que venen a clients xinesos, tenen filials o empleats al país, gestionen plataformes de comerç electrònic o depenen de proveïdors allà haurien de fer un inventari de les dades personals que manegen i d’on s’emmagatzemen, incloses les dades de recursos humans dels empleats a la Xina que s’envien a la seu europea. Els contractes amb proveïdors i filials també mereixen revisió. Convé incloure-hi clàusules clares sobre qui respon de cada tractament.
Complir el RGPD ajuda, però no n’hi ha prou: les bases legals, els terminis i les obligacions de localització no coincideixen. Un mateix tractament pot ser legal a Europa i exigir a la Xina un consentiment específic, una avaluació o una autorització addicional. Fins que es coneguin les normes de desenvolupament, el prudent és prendre la data de l’1 de novembre com a referència i consultar amb un assessor especialitzat. Convé fer-ho abans de novembre, quan la llei ja sigui exigible.
Complir a Europa no equival a complir a la Xina.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
